Usare i token di accesso personale

servizi Azure DevOps | Azure DevOps Server | Azure DevOps Server 2022

Un token di accesso personale (PAT) è una password alternativa per l'autenticazione Azure DevOps. Un token di accesso personale (PAT) ti identifica e determina le risorse e le operazioni a tua disposizione. Tratta un PAT con la stessa cura di una password.

Se uno strumento non supporta l'autenticazione Microsoft Entra, usa un PAT con ambito a livello di organizzazione con gli ambiti minimi e la durata più breve possibile in pratica.

Prerequisiti

• Accesso a un'organizzazione Azure DevOps o a una raccolta di Azure DevOps Server.
• Autorizzazioni necessarie per le risorse e le operazioni a cui accede il pat. Un PAT non può conferire più autorizzazioni di quelle di cui dispone il proprietario.

Creare un PAT

Per le organizzazioni che usano Microsoft Entra ID, accedi con un nuovo PAT entro 90 giorni, altrimenti il PAT diventa inattivo. Per altre informazioni, vedere Frequenza di accesso utente per Accesso Condizionale.

Notifiche

Azure DevOps invia una notifica quando si crea un pat e un'altra notifica prima della scadenza.

Notifica imprevista

Una notifica inaspettata potrebbe significare che un amministratore o uno strumento ha creato un PAT per te. I nomi dei token comuni includono:

• git: https://dev.azure.com/{organization} on {machine}, creato quando Git si connette a un repository Azure Repos.
• Service Hooks: Servizio app di Azure: Deploy web app, creato quando viene configurata una distribuzione Servizio app di Azure.
• Microsoft Teams Integration, creato quando viene configurata un'integrazione Microsoft Teams.

Se non riconosci un PAT, revocalo e cambia la password. Per un account Microsoft Entra, chiedere all'amministratore di esaminare le attività di accesso non note.

Usare un PAT

Usare un pat per richieste monouso, prototipi locali o strumenti che non supportano l'autenticazione Microsoft Entra. Non usare i PAT come credenziali a lungo termine per le applicazioni o i servizi in produzione.

Azure DevOps accetta un PAT tramite un'intestazione HTTP di autenticazione Basic. Il nome utente può essere vuoto. Codifica in Base64 la stringa :{PAT}, e usa il valore risultante in questa intestazione:

Authorization: Basic BASE64_ENCODED_PAT

Gli esempi seguenti prevedono che la AZURE_DEVOPS_PAT variabile di ambiente venga popolata da un'origine privata sicura.

$patBytes = [Text.Encoding]::ASCII.GetBytes(":$env:AZURE_DEVOPS_PAT")
$headers = @{ Authorization = "Basic $([Convert]::ToBase64String($patBytes))" }

Invoke-RestMethod `
  -Uri "https://dev.azure.com/{organization}/{project}/_apis/build/builds?api-version=7.1" `
  -Headers $headers

curl --user ":${AZURE_DEVOPS_PAT}" \
  "https://dev.azure.com/{organization}/{project}/_apis/build/builds?api-version=7.1"

Una volta che un prototipo funziona, eseguirne la migrazione a Microsoft Entra OAuth per l'accesso utente delegato o a un'entità servizio o un'identità gestita per l'accesso dell'applicazione.

Modificare un PAT (token di accesso personale)

È possibile modificare il nome, la scadenza o gli ambiti di un pat. La rigenerazione di un pat crea un nuovo valore di token e invalida il valore precedente. Non è possibile modificare o rigenerare un pat scaduto o revocato; crearne uno nuovo.

1. Nella home page aprire le impostazioni utente e selezionare Token di accesso personali.

2. Selezionare il PAT e quindi Modifica.

   

3. Modificare il nome del token, la scadenza o gli ambiti e quindi selezionare Salva.

   

Revocare un token di accesso personale

Revoca un PAT quando è compromesso, non è più necessario o concede più accesso del necessario.

1. Nella home page aprire le impostazioni utente e selezionare Token di accesso personali.

2. Selezionare il PAT, quindi selezionare Revoca.

   

3. Nella finestra di dialogo di conferma selezionare Revoca.

   

Sostituire un PAT scaduto o revocato

Dopo la scadenza o la revoca di un pat, Azure DevOps rifiuta i successivi tentativi di autenticazione che lo usano. Una pipeline, uno script, un client di pacchetti o un'operazione Git in genere non riesce la volta successiva che tenta di autenticarsi. Azure DevOps non garantisce che la revoca termini ogni connessione già stabilita.

Ruota un PAT prima che scada

Per sostituire un PAT senza causare un'interruzione del servizio evitabile:

1. Crea un token di accesso personale (PAT) con ambito organizzazione, con solo gli ambiti necessari e una durata breve.

2. Memorizza il nuovo valore nel tuo archivio dei segreti. Non incorporare i PAT negli URL remote di Git, .git/config, nel codice sorgente, nei file YAML della pipeline o nei log.

3. Testa il nuovo PAT con un'operazione in ambiente non di produzione o un'integrazione prima di aggiornare tutte le dipendenze.

4. Aggiornare ogni servizio o strumento in cui è archiviato il pat precedente:

   Integration	Dove aggiornare le credenziali
   Git	Gestione credenziali Git o un altro gestore di credenziali sicure
   Azure Pipelines	Una variabile segreta, un gruppo di variabili o una connessione al servizio
   Azure Artifacts	Configurazione sicura del provider di credenziali Azure Artifacts o della gestione pacchetti
   Script e client REST	Un archivio segreto o una variabile di ambiente protetta
   Strumenti di terzi	Archivio delle credenziali sicure dello strumento

5. Testare ogni integrazione aggiornata. Eseguire la pipeline interessata, l'operazione Git, l'operazione del pacchetto, lo script o la richiesta API e verificare la presenza di errori di autenticazione.

6. Revoca il vecchio PAT.

Mantieni un inventario del proprietario, dello scopo, delle autorizzazioni, della scadenza e delle integrazioni che ne dipendono di ogni PAT. Sostituire i PAT prima della scadenza in base ai criteri stabiliti dall'organizzazione e al livello di rischio dello scenario.

Ripristina dopo la scadenza o la revoca

Se un pat smette di funzionare in modo imprevisto:

1. Nella pagina Token di accesso personali, controlla lo stato e la data di scadenza del PAT.
2. Crea un PAT sostitutivo con solo le autorizzazioni richieste dalle integrazioni interessate.
3. Aggiorna le integrazioni che hanno memorizzato il PAT non più disponibile.
4. Testare ogni integrazione e monitorare la successiva operazione pianificata per individuare gli errori di autenticazione.

{
  "displayName": "CI build access",
  "scope": "vso.build",
  "validTo": "{expiration-in-UTC}",
  "allOrgs": false
}

Formato PAT

Le stringhe PAT seguono un formato riconoscibile che migliora il rilevamento dei segreti e riduce i falsi positivi.

• I PAT sono lunghi 84 caratteri, di cui 52 generati casualmente.
• I PAT di Azure DevOps contengono la firma fissa AZDO nelle posizioni comprese tra 76 e 80.

Se l'integrazione convalida i PT, supportare il formato di 84 caratteri. Per i controlli relativi ai token compromessi, vedere Revocare automaticamente i PAT compromessi.

Migliori pratiche per l'utilizzo dei PAT

Prendere in considerazione le alternative

• Usare Microsoft Entra token per applicazioni e automazione.
• Per i comandi monouso, acquisire un token Microsoft Entra tramite il interfaccia della riga di comando di Azure.
• Per Git, usare Git Credential Manager. Per Azure Artifacts, usare il provider di credenziali Azure Artifacts.

Creare i token di accesso personali

• Crea solo PAT con ambito di organizzazione. Le RETI PAT globali smettono di lavorare il 1° dicembre 2026.
• Usare un token di accesso personale diverso per ogni strumento o flusso di lavoro.
• Selezionare solo gli ambiti necessari per l'attività.
• Mantenere la durata il più breve possibile.
• Non includere dati personali o parti del valore del token nel nome visualizzato.

Gestire i Token di Accesso Personale

• Non condividere i PAT.
• Archiviare i token DI accesso in un archivio segreto sicuro, ad esempio Azure Key Vault.
• Sostituire i PT prima della scadenza e revocarli quando non sono più necessari.
• Revoca immediatamente un PAT se è stato divulgato o compromesso.

Domande frequenti

Cosa accade ai PTS quando un account utente è disabilitato?

Quando un account viene disabilitato o rimosso da un'organizzazione, le relative reti AP non possono più accedere alle risorse dell'organizzazione. Azure DevOps non elimina automaticamente i PAT. Se l'accesso viene ripristinato, un pat non scaduto o revocato funziona con le autorizzazioni correnti dell'utente.

Posso usare i PAT con tutte le API REST di Azure DevOps?

No I token di accesso personale (PAT) funzionano con la maggior parte delle API REST di Azure DevOps. Alcune API, tra cui organizzazioni, profili e API di gestione del ciclo di vita PAT, richiedono token Microsoft Entra.

È possibile usare un token di accesso personale come chiave API per pubblicare pacchetti NuGet?

No Azure Artifacts non supporta il passaggio di un token di accesso personale come chiave API. In un ambiente di sviluppo locale installare il provider di credenziali Azure Artifacts. In Azure Pipelines, usare l'attività di autenticazione NuGet.

Per esempi, vedere Pubblicare con dotnet, Pubblicare con NuGet.exee Pubblicare pacchetti NuGet con Azure Pipelines.

Perché il mio PAT smetteva di funzionare?

Verifica se il PAT è scaduto, è stato revocato, è diventato inattivo, non dispone di ambiti sufficienti o appartiene a un utente le cui autorizzazioni sono state modificate. Per un'organizzazione supportata da Microsoft Entra ID, accedere a Azure DevOps e completare la richiesta di autenticazione completa e quindi riprovare. La configurazione dell'accesso condizionale potrebbe richiedere un accesso più frequente.

Per Azure DevOps Server, l'autenticazione di base di IIS impedisce l'autenticazione PAT. Mantenere disabilitata l'autenticazione di base di IIS.

Come si crea un token di accesso non associato a un utente?

I PT sono sempre associati all'utente che li ha creati. Per un'identità non utente, usare un token Microsoft Entra rilasciato a un'entità servizio dell'applicazione o a un'identità gestita. Per le pipeline, usare una connessione al servizio.

Articoli correlati

• Linee guida per l'autenticazione
• Autenticazione con token di Microsoft Entra
• Usare entità servizio e identità gestite
• Gestire i PAT con criteri
• Revocare gli Token di Accesso Personale utente